ตามรายงานของ BGR แอปที่เป็นอันตรายเหล่านี้มีต้นกำเนิดมาจากมัลแวร์ที่เรียกว่า Anatsa (หรือเรียกอีกอย่างว่า TeaBot) ซึ่งเป็นมัลแวร์ด้านการธนาคารที่อันตรายเป็นพิเศษซึ่งดูเหมือนจะไม่เป็นอันตรายเมื่อผู้ใช้ติดตั้งครั้งแรก แต่ภายหลังกลับดาวน์โหลดโค้ดที่เป็นอันตรายหรือเซิร์ฟเวอร์คำสั่งและควบคุม (C2) ที่ปลอมตัวเป็นการอัปเดตแอป ซึ่งจะทำให้มัลแวร์หลีกเลี่ยงการตรวจจับได้จาก App Store ของ Android ได้

กล่าวอีกนัยหนึ่งแอปดั้งเดิมไม่ได้เป็นอันตราย พวกเขาหลอกคนจำนวนมากให้คิดว่ามันปลอดภัยก่อนที่จะดำเนินการดาวน์โหลดเนื้อหาอันตรายที่ปลอมตัวเป็นการอัปเดตแอปที่ถูกกฎหมาย เมื่อมัลแวร์สามารถติดไวรัสในอุปกรณ์ได้สำเร็จและเริ่มสื่อสารกับเซิร์ฟเวอร์ C2 มันจะสแกนอุปกรณ์ของผู้ใช้เพื่อตรวจจับแอพธนาคารที่ติดตั้งอยู่

หากพบข้อมูลใดๆ ระบบจะส่งไปที่เซิร์ฟเวอร์ C2 และส่งหน้าล็อกอินปลอมกลับไปยังแอปพลิเคชันที่ตรวจพบ หากผู้ใช้ถูกเปิดเผยต่อกลอุบายนี้และป้อนข้อมูลรับรองการเข้าสู่ระบบ ข้อมูลดังกล่าวจะถูกส่งกลับไปที่เซิร์ฟเวอร์ ซึ่งแฮกเกอร์จะสามารถใช้เพื่อเข้าสู่ระบบแอปธนาคารของเหยื่อและขโมยเงินของพวกเขาได้

แอปสองตัวที่ Zscaler ตรวจพบว่าติดไวรัส Anatsa ได้แก่ PDF Reader & File Manager และ QR Reader & File Manager นักวิจัยกล่าวว่า Anatsa มุ่งเป้าไปที่แอปพลิเคชันจากสถาบันทางการเงินในสหราชอาณาจักรเป็นหลัก โดยยังพบเหยื่ออยู่ในสหรัฐอเมริกา เยอรมนี สเปน ฟินแลนด์ เกาหลีใต้ และสิงคโปร์อีกด้วย อย่างไรก็ตาม ผู้เชี่ยวชาญแนะนำให้ผู้ใช้ระมัดระวังอันตรายเหล่านี้ไม่ว่าจะอาศัยอยู่ที่ใดก็ตาม

แม้ว่านักวิจัยจะไม่ได้เปิดเผยข้อมูลประจำตัวของแอป Android ที่ติดมัลแวร์บน Google Play Store แต่แอปทั้งสองที่แชร์ในตัวอย่างข้างต้นนั้นไม่สามารถใช้งานได้อีกต่อไปแล้ว บางที Zscaler อาจแจ้งเตือน Google เกี่ยวกับแอปอื่น ๆ